University of Idahoのチップセキュリティ受賞、AIが攻防の両陣営に
University of Idahoのチップセキュリティ研究者は、生成AIが防御側と攻撃側の両方を担った2026年のコンテストで優勝した。学部生のLloyd Alcornと助教のZain Ul Abideenは、機密性の高いチップ設計情報を隠しながら、AI支援を受ける敵対者がどこまで再構築できるかを検証するワークフローを構築した。
この組み合わせにこそ本質的な緊張関係がある。AIはエンジニアが設計内の知的財産を保護する助けになる一方、同種の技術は攻撃者が保護されたファイルを解釈する助けにもなり得る。したがって、防御は単に回路を人間にとって読みにくくするだけでは成功しない。
このプロジェクトは、DACとして知られる第63回Design Automation ConferenceのGenAI-Guided Hardware IP Redaction and Red-Teaming Challengeで優勝した。この成果は、実運用に対応したセキュリティ標準の確立を意味するものではない。ただし、AIチップ設計セキュリティが、一度きりの情報隠蔽ではなく、敵対的な測定の問題へと変わりつつあることを示している。
University of Idaho、DACでチップセキュリティ部門を制す
受賞プロジェクトは、保護対象のチップ設計を機能させたまま、再構築への抵抗力を能動的に維持するものとして扱った。
電気工学を専攻する4年生のAlcornは、2026年6月から7月にかけて実施されたリモート形式のコンテストでAbideenと協力した。賞は、チップ設計と電子設計自動化を扱う主要カンファレンスであるDACで授与された。
University of Idahoによると、この会議には5,000人を超える研究者、エンジニア、業界関係者、学生が集まる。Alcornは学部生でありながら、学界と産業界の参加者と競い合った。
彼らの課題は、チップに固有の振る舞いを与える再利用可能なロジック、アーキテクチャ、定数、制御構造であるハードウェアIPに関わるものだった。この種の知的財産は、デジタルロジックがデータを処理・転送する方法を記述するレジスタ転送レベルコード、すなわちRTLに現れることが多い。
AlcornとAbideenは、チップの機能と知的財産に関する重要情報を難読化するセキュリティシステムを構築した。難読化とは、設計の意図した振る舞いを保ちながら、観察者から見た設計の見え方を変えることだ。
この第2の要件は重要である。シミュレーション、統合、タイミング、あるいは計算性能を損なう保護方式は、実用価値がほとんどない。チームは、設計の動作を犠牲にすることなく、価値ある情報を隠さなければならなかった。
大学が紹介した受賞プロジェクトによると、Alcornは保護ワークフローを繰り返し調整・テストした。保護された設計が依然として正しく動作することを確認し、消費電力とタイミングへの影響を測定した。
その後、AI支援による敵対的評価を実施した。この評価では、変換後のコードが自動的に安全だと仮定するのではなく、攻撃者が改変された設計からなお推論できる情報を問うた。
コンテストでは、ブルーチームとレッドチームを通じてこの対立を形式化した。ブルーチームは機密の詳細を隠し、レッドチームは生成AIを用いて再構築、リバースエンジニアリング、監査を試みた。
主催者は保護対象として複数の要素を挙げた。モジュール名、回路階層、有限状態機械の振る舞い、独自定数、暗号構造、機密性の高い制御ロジックなどである。レッドチームはAIを使い、元の役割や関係性を推論できる。
このため、この受賞は従来型の学生設計賞以上の意味を持つ。チームは単にAIシステムに回路を生成させたのではない。実用性と秘匿性の間にある、より困難な境界に取り組み、その防御を知的な攻撃者にさらした。
ハードウェアIPの秘匿化がより難しくなる理由
ハードウェアIPの秘匿化は今や、コード、構造、命名パターン、回路動作を横断して推論できる機械に耐えなければならない。
従来の秘匿化は、説明的なコメントの削除、信号名の変更、選択した設計ブロックの隠蔽に依存することが多い。こうした手法は気軽な調査を妨げられるが、動作する回路に埋め込まれた関係性まで必ずしも消し去るわけではない。
匿名の名前を持つモジュールにも、入出力、タイミング特性、接続は残る。状態機械は依然としてパターンに沿って遷移する。暗号コンポーネントも、ラベルが消えた後に認識可能な定数やデータフローを保持し得る。
生成AIは、こうした手掛かりを調べるコスト構造を変える。不慣れなRTLを要約し、有力なモジュールの役割を提案し、反復構造を比較し、欠落したロジックに関する仮説を生成できる。攻撃者には依然として技術知識が必要だが、AIは多くの可能性を探るコストを下げられる。
同じ能力は防御側にも役立つ。セキュリティエンジニアは、AI支援ワークフローを使って情報を露出する名前を特定し、機密ロジックコーンを探し、変換を提案し、その変更が意図した振る舞いを維持するか確認できる。
ロジックコーンとは、特定の出力に影響を与える回路要素の集合である。セキュリティ上重要な出力が認識可能なゲートや定数まで追跡できるなら、ラベルを隠すだけでは保護として弱い可能性がある。
University of Idahoチームのアプローチは、この二重用途を反映している。AIは防御ワークフローを支援し、その後に敵対者の視点から成果を探るためにも用いられた。このツールは、本質的に防御的でも敵対的でもなかった。
この力学はすでに電子設計自動化の研究課題全体に現れている。DACの2026年セキュリティ研究課題には、AIベースのハードウェア攻撃と防御、リバースエンジニアリング、ハードウェア難読化、セキュリティを維持する設計自動化が明示的に含まれている。
同会議は、EDA向け基盤モデル、エージェント型検証、物理設計自動化、AIシステム評価のためのベンチマークに関する研究も募った。EDAは、電子システムの設計、シミュレーション、検証、製造準備に使われるソフトウェアを指す。
こうした進展により、AIチップ設計セキュリティは変化し続ける標的となる。あるモデルやプロンプト戦略を退ける変換でも、より強力なモデル、特化型エージェント、あるいはAIと形式解析を組み合わせたワークフローには情報を漏らす可能性がある。
脅威はソースコードの窃取にとどまらない。再構築された設計は、独自アルゴリズム、セキュリティチェック、暗号構造、実装上の判断を明らかにし得る。その情報は、偽造、クローン、脆弱性発見、悪意ある改変を支援する可能性がある。
NISTは半導体サプライチェーンを、知的財産、設計、製造、試験、パッケージング、流通にまたがるネットワークと説明している。そのハードウェアセキュリティプログラムは、IP海賊行為、リバースエンジニアリング、ハードウェアトロイの木馬を、信頼のための設計に関わる相互に関連した懸念として扱っている。
ハードウェアトロイの木馬とは、振る舞いの変更、情報漏洩、隠れたアクセスの作成を目的として回路に追加される悪意あるロジックである。通常のソフトウェア脆弱性とは異なり、物理デバイスの一部になり得る。
秘匿化だけでは、こうしたリスクをすべて防げない。しかしこのコンテストは、設計成果物がチーム、ツール、ベンダー、施設の間を移動しなければならない際に、それらが開示する情報を制限するという重要な初期段階に取り組んでいる。
この要件が難しいのは、半導体製造が分散しているためだ。完成したコンポーネントが製品に届くまで、設計は複数の組織的・技術的な境界を通過し得る。
境界ごとに対立が生じる。パートナーにはシミュレーション、検証、統合、製造、試験を行うための十分な情報が必要だ。一方、IP保有者は、それらの作業に必要な範囲を超えて開示したくない。
ハードウェアIPの秘匿化は、この対立を管理しようとする。生成AIは双方を高速化するため、保護にはもはや曖昧さに基づく確信ではなく、再現可能な敵対的テストが必要になる。
真の競争は実用性と秘匿性の対決だった
決定的な問題は設計を隠せるかどうかではなく、最も情報を露出する要素を除いた後も有用性を保てるかどうかである。
防御側は理論上、設計全体を渡さないことで再構築を不可能にできる。その方法では、正当な協力者もシミュレーション、試験、統合を行えなくなる。
実用的な保護では、合意された水準の有用性を維持しなければならない。秘匿化された成果物には、コンパイル、機能テストの通過、定義済みインターフェースの公開、タイミング制約の達成が求められる場合がある。保持される能力の一つひとつが、追加情報を明らかにする可能性もある。
これはデータ匿名化に似たトレードオフを生む。明白な識別子を取り除いても、残ったフィールド間の関係から欠落情報が明らかになる場合、プライバシーは保証されない。
回路構造も同様に多くを語る。入出力、反復される演算、ルックアップのパターン、状態遷移は、元の名前やコメントが消えてもコンポーネントを特定する可能性がある。
難読化手法は、設計の解釈を難しくするために変換や鍵付きの振る舞いを追加できる。しかし、それらの変更は消費電力を増やし、クリティカルタイミングパスを延長し、面積を増加させ、検証を複雑化させる可能性がある。
University of Idahoチームが電力とタイミングを測定したのは、セキュリティを孤立して評価できないためだ。許容できない実装上のペナルティを課す防御は、商用の設計レビューを通過しにくい。
DARPAも、そのsecure silicon automationプログラムで同じ根本的な障害を特定した。同機関は、チップレベルのセキュリティが経済的な障壁と技術的トレードオフに直面することが多く、設計後期の変更は例外的に困難だと指摘した。
DARPAはこれに対し、アーキテクチャ上の選択肢をセキュリティと実装目標に照らして評価できる自動設計フローを掲げた。この枠組みは、プログラム自体は別であるものの、DACの課題が浮き彫りにした問題と密接に一致する。
チップ設計にはすでに膨大な探索空間があるため、自動化は重要である。エンジニアは、機能、性能、電力、面積、信頼性、検証の労力、製造上の制約、納期を調整する。
セキュリティは別の目的を加えるが、他のすべての要件を単純に上書きすることはできない。保護された設計も、最終的には動作する製品にならなければならない。
AIは候補となる変換をより速く探索する助けになる。同時に、敵対者がそれらの変換を生き残ったパターンを探す助けにもなる。その結果として生じる競争は、静的ではなく反復的である。
ブルーチームが設計を変更する。レッドチームが残された意味を探す。次にブルーチームは変換を調整し、再び機能を検証し、新たなコストを測定する。
このループは、防御側が継続的にコードをスキャンし、攻撃者が継続的に回避策を探す現代のソフトウェアセキュリティテストに似ている。ハードウェアには、製造後も誤りが残り得るという、より厳しい制約がある。
ソフトウェアパッチは、リリース後に展開できることが多い。欠陥のあるチップ設計では、高価な交換、新たな製造実行、あるいはシステム内の別の場所での補償的対策が必要になる可能性がある。
このため、シリコン製造前の評価は特に価値が高い。プリシリコンとは、設計が製造済みチップになる前に行われる作業を指す。AI支援テストは、エンジニアがまだ設計を修正できる段階で設計成果物を検証できる。
したがってIdahoの成果は、普遍的な答えではなく、一つの手法を支持するものだ。AIを保護の支援に使い、設計の有用性を維持し、実装コストを測定し、信頼する前に出力を攻撃する。
その仕組みは、モデルが不完全な提案しか生成できない場合でも、エンジニアリングの規律を向上させ得る。チームは、何を利用可能な状態に保つべきか、何を秘匿すべきか、どのような証拠を防御成功とみなすのかを定義せざるを得なくなる。
AIチップ設計セキュリティには、より強固な証拠が必要
優勝は競争上の成功を示すが、そのワークフローが商用半導体IPを保護できることの証明には、まだなっていない。
公開されているUniversity of Idahoの報告には、詳細な技術論文、ベンチマークスイート、モデル一覧、採点内訳、完全な脅威モデルは含まれていない。保護対象となった設計や、成功した再構成の試みも公開していない。
こうした省略は、短い大学ニュース記事としては理解できる。それでも、外部のエンジニアがこの結果から導ける結論には制約が生じる。
意味のある評価には、攻撃者がどのようなアクセスを得るのかの定義が必要だ。レッドチームはRTL、合成済みネットリスト、シミュレーション出力、インターフェース文書、あるいは選定された成果物だけを受け取ったのか。アクセス水準によって、再構成リスクは大きく異なる。
モデル構成も重要である。汎用言語モデル、コード特化モデル、分析ツールに接続されたEDAエージェントでは、異なる結果が出る可能性がある。
プロンプト設計と反復も性能に影響し得る。1回の問い合わせしかできない攻撃者は、多数のエージェントを実行し、候補設計をコンパイルし、失敗を調べ、仮説を洗練できる攻撃者を代表しない。
評価指標も、未解決の課題として残る。ある防御策は、完全なソース再構成を阻止できても、コンポーネントの目的、アルゴリズム、定数、セキュリティ境界を漏えいさせる可能性がある。
逆に、AIシステムがもっともらしい説明を生成しても、技術的には誤っている場合がある。見かけ上の再構成は、検証済みの復元と同じではない。
したがって、強力なベンチマークには複数層の測定が必要である。機能等価性、構造的類似性、意味的推論、秘密情報の復元、および保護対象の設計に課されるコストを検証すべきだ。
防御策が未知の回路ファミリーにも適用できるかどうかも試験すべきである。あるベンチマーク向けに調整された手法は、競技では好成績を収めても、異なるアーキテクチャでは失敗する可能性がある。
NISTは、この測定上のギャップを強調している。同機関のハードウェアプログラムは、半導体コンポーネントの試験、証明、認証、検証を支援できる参照データセットと指標を求めている。
同機関の2026年の標準化ワークショップ報告書でも、スケーラブルな検証と妥当性確認が優先課題として挙げられた。推奨アプローチには、AI支援分析、形式手法、ファジング、標準化試験、レジリエンス評価が含まれていた。
この組み合わせは重要である。AIが、AIによる設計保護の成否を判定する唯一の審判になってはならない。
形式手法は、システムの性質を検証するために数学的推論を用いる。シミュレーションは選択されたシナリオを実行する一方、形式検証は定義された仮定の下で、より広範な可能な振る舞いの類を調べられる。
最も信頼性の高いAIチップ設計セキュリティのワークフローは、モデル支援による探索と決定論的なチェックを組み合わせるものだろう。モデルは変換や攻撃を提案し、従来のツールが機能、タイミング、電力、セキュリティ特性を検証する。
再現性も同様に重要である。研究者には、モデルのバージョン、プロンプト、ツール呼び出し、中間成果物、検証結果の記録が必要だ。そうでなければ、優勝した結果を比較したり再現したりすることは難しくなる。
AIサービスそのものも、独自の機密性に関する問題を生む。専有RTLを外部モデルにアップロードすれば、保護ワークフローが守るべき情報そのものを露出させる可能性がある。
本番環境への導入には、データ保持、モデルへのアクセス、ログ、隔離、生成成果物の所有権に関する明確な統制が必要となる。ローカルモデルや組織管理下のモデルは一部の露出を減らせるかもしれないが、技術的リスクをなくすものではない。
ベンチマーク汚染の問題もある。公開された回路例がモデルの学習データに含まれていれば、システムは真に保護された設計から推論するのではなく、既知のパターンを想起しているだけかもしれない。
研究者は、記憶と再構成を区別しなければならない。非公開の評価回路、統制された開示、学習後に作成されたベンチマークは役に立つが、オープンな再現はより難しくなる。
したがって、この受賞は、このアプローチがより深い研究に値することを示す証拠である。生成AIがハードウェアIP保護を解決した証拠ではない。
チップメーカーは新たな攻防サイクルに直面する
厳格に管理された社内チームの外部へ設計成果物を共有する、あらゆる組織に圧力がかかる。
この対象には、チップ企業、再利用可能なIPベンダー、ファウンドリ、クラウドEDAプロバイダー、検証請負業者、パッケージング専門企業、研究パートナーが含まれる。ライセンスされたコアをより大きなシステムへ統合する顧客も含まれる。
圧力の源は単一の競合企業ではない。攻撃者がAIによる推論を、既存のリバースエンジニアリングおよび分析ツールと組み合わせる能力が高まっていることだ。
生成モデルは、未知のハードウェア記述を調べる障壁を下げる可能性がある。構文を変換し、想定される動作を説明し、テストを提案し、既存ツールチェーン用のスクリプトを生成できる。
専門エンジニアは依然として重要である。ハードウェアの振る舞いは、タイミング、合成、物理的影響、実装詳細に左右され、自然言語の出力では誤って表現される可能性がある。
しかし、攻撃者が優位性を得るために完全自動化は必要ない。分析時間がわずかに短縮されるだけでも、より多くの標的が経済的に魅力的になり得る。
防御側は、保護済み成果物を共有する前に、進化するモデルの能力に対して試験する圧力に直面する。また、各受領者が実際に必要とする情報を文書化する必要もある。
これはアクセス制御を、設計そのものに近づける。承認済みのすべてのパートナーが同じ成果物を受け取る権利があると扱うのではなく、企業は特定のタスクに合わせて開示内容を調整できる。
University of Idahoのプロジェクトは、このアプローチをコンパクトに示している。正当なワークフローが必要とするものを維持し、機微な情報を曖昧化し、攻撃者の視点から結果に挑戦する。
より広範なEDA業界はすでに、より自律的なシステムへ移行しつつある。DACによるAI-native EDAスタックの議論では、インフラ、統合、信頼が本番導入における中心的な障害になったと論じられている。
セキュリティは、この信頼の問題の一部である。リポジトリを調べ、ツールを実行し、RTLを変更し、検証結果を解釈できるエージェントは、孤立したチャットボットより多くの能力を持つ。
より高い能力は、エンジニアリングチームによる困難な作業の自動化に役立つ。同時に、過剰なアクセス、誤った推論、侵害された指示、不十分に保護されたログの影響も大きくする。
そのため、チップ組織には人間のユーザーだけでなく、エージェント向けに設計された統制が必要になる。こうした統制には、狭い権限、隔離されたワークスペース、再現可能なツール実行、機微な変更が設計に入る前のレビューゲートが含まれる。
ここで、競技モデルは教育を超えて有用になる。レッドチームとブルーチームは、敵対者に発見される前に前提を明らかにする構造化された方法を提供する。
このアプローチは半導体教育も強化できる。設計最適化だけを学ぶ学生は、一見無害な成果物が専有情報やセキュリティ上機微な情報をどのように明らかにするかを見落とす可能性がある。
Abideen氏は、この競技が生成AI、チップ設計ツール、敵対的セキュリティ分析を、学部生にはめったに得られない形で組み合わせたと述べた。この組み合わせが重要なのは、将来のエンジニアが自動化された設計システムとAI支援型の脅威の両方を引き継ぐことになるためだ。
University of Idahoには、このプロジェクトを支えるより広範なハードウェアセキュリティの基盤がある。Abideen氏の研究は、信頼できる集積回路設計、セキュリティを意識したEDA、リバースエンジニアリング対策、回路難読化、AI支援チップ設計を扱っている。
それでも、最も有用な教訓は組織的なものではない。それは運用上のものだ。チームは、可読な設計成果物がますます高性能な自動分析を受けると想定すべきである。
この想定は立証責任を変える。エンジニアが直ちに見破れないからという理由で、防御策を十分と見なすべきではない。定義された攻撃、測定可能な検証、新しいツールによる反復試験を生き延びる必要がある。
この勝利の意義を示す3つの兆候
次の試験は、この競技結果が再現可能な証拠、より強力なベンチマーク、大学プロジェクトを超えた導入へと発展するかどうかである。
第1の兆候は技術的な公開だ。論文、ベンチマーク、リポジトリ、または詳細な競技報告書があれば、脅威モデル、保護成果物、モデル、採点方式、実装オーバーヘッドが明確になる。
その資料が、複数の未知の設計にわたり一貫した保護を示せば、AI支援によるハードウェアIP秘匿の根拠は強まる。結果が1つの狭いベンチマークに依存するなら、より広範な主張は弱まる。
第2の兆候は、独立したレッドチームの成果である。他の研究者が、異なるモデル、エージェントアーキテクチャ、従来のEDAツールに対して、同じ保護策を試験すべきだ。
自らの設計者が予測した攻撃にしか耐えられない防御策が与える保証は限られる。機能を維持しながら独立チームに耐える防御策は、より意味のある証拠を提供する。
第3の兆候は、反復可能な設計ワークフローへの統合である。秘匿化、シミュレーション、形式チェック、タイミング解析、消費電力測定、敵対的評価を接続するツールに注目したい。
統合は、AIチップ設計セキュリティが現実のエンジニアリング制約の中で運用できることを示す。広範な手動調整を要する単独の実証は、依然として有用な研究ではあるが、拡張可能な本番手法にはまだ至らない。
これらの兆候は、受賞そのものより重要である。競技は定義されたルールの下での進歩を評価する一方、実運用される半導体セキュリティは、未知の設計、変化する攻撃者、機密性の統制、コストの高いエラーに対処しなければならない。
University of Idahoのチップセキュリティにおける勝利は、それでも重要な転換を示している。同じ設計境界の両側にAIを置き、能動的な攻撃を通じて防御を測定しているからだ。
開発者とセキュリティチームにとって、実務上の問いは今や具体的である。組織はどの設計成果物を安全に共有できるのか。そして、AI支援を受けた敵対者がそこから何を推論できるかを、どのように試験するのか。新たに登場するベンチマークを追跡し、再現可能な検証を求め、モデルへのアクセスをハードウェア脅威モデルの一部として扱うべきだ。導入前にこうした問いへ答える組織は、すでに始まっている攻防サイクルへの備えをより整えられる。
